hhyo/Archery

A账号可以越权查看B账号的查询权限申请记录

Offen

#2.308 geöffnet am 28.09.2023

Auf GitHub ansehenContributor Guide
 (1 Kommentar) (0 Reaktionen) (0 zugewiesene Personen)Python (1.853 Forks)batch import
area/auditenhancementgood first issuehelp wanted

Repository-Metriken

Stars
 (7.016 Sterne)
PR-Merge-Metriken
 (Durchschn. Merge 12T 20h) (11 gemergte PRs in 30 T)

Beschreibung

重现步骤

1.管理员未给A账号分配可查询权限申请记录 2.A账号不仅可以看到自己申请的查询权限记录，还可以通过修改域名的方式，越权查看B账号的查询权限申请记录

预期外的结果

可以通过修改域名的方式......queryapplydetail/2/ 越权查看B账号的查询权限申请记录. 数字2可以随便改写

日志文本

No response

版本

1.9.1

部署方式

Docker

是否还有其他可以辅助定位问题的信息？比如数据库版本等

No response

Contributor Guide

Research-Richtung
Identifiziere den View Handler für `/queryapplydetail/<id>` und prüfe, ob er überprüft, ob der anfragende Benutzer die Berechtigung hat, den angegebenen Antragsdatensatz anzuzeigen. Der Fehler liegt wahrscheinlich im Fehlen von Besitz oder Berechtigungsprüfungen.
Tech Stack
python
Domain
backendsecurity
Issue Type
Fehler
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Halber Tag
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Frisch
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
PythonWeb Security Basics
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
60